Предупреждение о фильтруемом или контролируемом VPN на Mac: что оно разрешает

Это предупреждение — разрешение, а не диагноз. Когда macOS сообщает, что конфигурация будет фильтровать или отслеживать трафик, он говорит, что одобренный вами компонент видит охватываемый им путь, и спрашивает, приемлемо ли это. Диалог не может сказать, кто управляет компонентом, что он записывает и расшифровывает ли что-либо. Ответы находятся в профиле, списке расширений и сертификатах на машине, поэтому начните оттуда, а не с повторного чтения фразы.

Читайте уведомление как вопрос об охвате

Каждое уведомление об активации указывает на две вещи, не называя их явно: расширение, которое будет обрабатывать трафик, и конфигурацию, которая направляет трафик в него. В нынешней macOS эти компоненты — системные расширения NetworkExtension, и установка или активация одного требует одобрения в системных настройках. Формулировка остаётся широкой, потому что система не может знать, кто одобряет — ИТ-отдел, VPN по подписке или агент фильтрации, поставляемый с чем-то ещё.

Поэтому один и тот же текст охватывает три разные ситуации. Управляемый Mac получает профиль от управления устройствами, личный Mac получает конфигурацию от установленного вами приложения, а продукт безопасности может установить фильтр, который никогда не представляется как VPN. Ни одна из этих меток не решает вопрос о замысле. Они лишь говорят, у какой стороны спросить в первую очередь.

Две команды быстро разделяют эти случаи. Первая перечисляет установленные системные расширения и то, активно ли каждое, вторая — профили конфигурации с их содержимым и подписавшей организацией.

systemextensionsctl list
profiles show -type configuration

Отличите туннель от фильтра

Пакетный туннель даёт Mac маршрут и несёт всё, что направляет в него таблица маршрутизации. Фильтр содержимого работает на уровне потока, видит каждое соединение и может разрешить, заблокировать или перенаправить его. Продукт может поставлять оба сразу, и предупреждение при этом не меняется. Разница важна, потому что доказательства, которые можно собрать, и сбои, которые вы увидите, различаются.

Проверяйте категорию расширения, а не маркетинговое имя. Туннель обычно выглядит как конфигурация VPN и как сетевое расширение, тогда как у фильтра может вовсе не быть службы VPN. Если продукт предлагает оба режима, активная конфигурация выбирает один, и смена режима может изменить охват, не меняя поставщика.

Список служб VPN — самый быстрый способ увидеть, существует ли туннель. Фильтр, не являющийся VPN, в нём не появится, и это само по себе полезная информация.

scutil --nc list

Значок подключения не является доказательством охвата. Приложения можно исключить правилами для каждого приложения, и трафик к локальным сетям часто по замыслу обходит туннель. Когда одно приложение ведёт себя так, будто за ним не наблюдают, заподозрите маршрут или исключение, прежде чем считать монитор сломанным.

Что оператор узнаёт, не читая содержимое

Метаданные — не утешительный приз. Адреса, порты, имена DNS, время соединений, счётчики байтов и прошедшая аутентификацию личность видны компоненту на пути. Повторные визиты к одному узлу в один и тот же час строят рутину, а рутина может сказать больше одной страницы.

Это честный ответ на обычный вопрос. Оператор видит где и когда, даже когда содержимое остаётся запечатанным.

Видимость содержимого требует второго, более громкого изменения. Правильно проверенная сессия HTTPS остаётся непрозрачной для туннеля или потокового фильтра, как и локальные файлы и трафик, который никогда не попадает на охваченный путь. Чтение тела страниц требует центра сертификации, которому Mac уже доверяет, то есть сертификата перехвата, установленного с отдельным одобрением. Этот шаг переносит границу с метаданных на содержимое и заслуживает отдельного рассмотрения.

Охват также заканчивается на устройстве. Туннель на одном ноутбуке не охватывает телефон, планшет или машину другого человека в той же сети Wi-Fi, а корпоративный клиент не может провести инвентаризацию других посетителей кафе. Программы управления устройствами могут собирать больше, чем раскрывает туннель, но это отдельный контроль с другим владельцем политики.

Проверьте хранилище сертификатов, прежде чем паниковать

Доверенный корень — это разница между наблюдением за трафиком и его чтением. Проверьте системную связку ключей на предмет органов, которых вы не знаете, и отметьте те, что появились примерно во время уведомления. Управляемый Mac может законно нести корень инспекции, присланный работодателем, и тогда разговор принадлежит администратору. Личный Mac, получивший такой случайно, имеет находку, достойную действий. Запишите общее имя, издателя и дату добавления, чтобы на вопрос можно было ответить позже.

Сравните этот список с тем, что сообщает управление устройствами. Если список профилей и список сертификатов расходятся, именно список сертификатов решает, что примет Mac.

Две команды покрывают большую часть проверки. Первая печатает профили конфигурации; вторая печатает сертификаты в управляемой администратором системной связке ключей, куда обычно попадает добавленный корень.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Стандартные корни Apple живут в отдельной связке ключей и здесь не являются заботой. Пустой результат второй команды обычен на личном Mac. Заполненный результат заслуживает чтения по каждому субъекту, прежде чем вы его отклоните.

Решите, а затем запишите почему

Одобрение разумно, когда вы можете назвать оператора, компонент и причину и когда запрос соответствует выбору, сделанному вами или вашей организацией. Расследование — правильная реакция, когда уведомление приходит без контекста, особенно после смены сети или несвязанной установки. Сначала отключитесь, зафиксируйте идентификатор профиля и расширение, затем решайте. Удаление — третий путь, и оно восстанавливает прежнюю маршрутизацию, не затрагивая учётную запись.

Относитесь к согласию и удалению как к отдельным решениям, принимаемым в разное время. Одобрение фильтра сегодня не обязывает вас его сохранять, а удаление профиля не стирает серверные записи о том, что наблюдалось, пока он был активен.

Если уведомление появилось после обновления уже используемого программного обеспечения, прочитайте примечания к выпуску этой версии, прежде чем нажимать. Поставщики действительно меняют архитектуру расширений между выпусками, и новый фильтр может прийти с рутинным обновлением. Если уведомление появилось после подключения к новой сети, считайте время доказательством и проверьте, что изменилось.

Ведите короткую запись: имя профиля, идентификатор расширения, оператор, отпечаток сертификата, если он был добавлен, и дата. Следующий человек сможет начать с этой хронологии, а не с формулировки диалога.